培训
认证
Microsoft Certified: Identity and Access Administrator Associate - Certifications
演示 Microsoft Entra ID 的功能,以将标识解决方案现代化、实现混合解决方案和实现标识治理。
你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
Azure Kubernetes 服务 (AKS) 群集需要 Microsoft Entra 标识才能访问负载均衡器和托管磁盘等 Azure 资源。 建议使用 Azure 资源托管标识来授权从 AKS 群集访问其他 Azure 服务。
可以使用托管标识授权从 AKS 群集访问任何支持 Microsoft Entra 授权的服务,而无需管理凭据或将其包含在代码中。 为托管标识分配 Azure 基于角色的访问控制 (Azure RBAC) 角色,以授予其对 Azure 中特定资源的权限。 例如,可以向托管标识授予权限,以访问 Azure 密钥保管库中的机密供群集使用。 有关 Azure RBAC 的详细信息,请参阅什么是 Azure 基于角色的访问控制 (Azure RBAC)?。
本文介绍如何在新的或现有的 AKS 群集上启用以下类型的托管标识:
若要了解托管标识的详细信息,请参阅 Azure 资源托管标识。
AKS 群集使用托管标识从 Microsoft Entra 请求令牌。 这些令牌用于授权访问 Azure 中运行的其他资源。 可以将 Azure RBAC 角色分配到托管标识,以授予群集访问特定资源的权限。 例如,如果你的群集需要访问 Azure 密钥保管库中的机密,则可为群集的托管标识分配授予这些权限的 Azure RBAC 角色。
托管标识可以由系统分配,也可以由用户分配。 这两种类型的托管标识相似,因为你可以使用任一类型来授权从 AKS 群集访问 Azure 资源。 它们的主要差别在于,系统分配的托管标识与单个 Azure 资源(例如 AKS 群集)相关联,而用户分配的托管标识本身就是一个独立的 Azure 资源。 有关托管标识类型之间差异的更多详细信息,请参阅 Azure 资源托管标识中的“托管标识类型”。
这两种类型的托管标识均由 Azure 平台管理,因此可以授权从应用程序进行访问,而无需配置或轮换任何机密。 Azure 将为你管理标识的凭据。
部署 AKS 群集时,默认情况下会为你创建系统分配的托管标识。 还可以使用用户分配的托管标识来创建群集。
还可以使用应用程序服务主体而不是托管标识来创建群集。 为了安全性和易用性,建议使用托管标识而不是服务主体。 有关使用服务主体创建群集的详细信息,请参阅将服务主体与 Azure Kubernetes 服务 (AKS) 配合使用。
可以更新现有群集以使用来自应用程序服务主体的托管标识。 还可以将现有群集更新为不同类型的托管标识。 如果群集已在使用托管标识,并且该标识已发生更改,例如,如果将群集标识类型从系统分配更新为用户分配,那么控制平面组件切换到新标识时会出现延迟。 控制平面组件将继续使用旧标识,直到其令牌过期。 刷新令牌后,这些组件会切换到新标识。 此过程可能需要几小时的时间。
系统分配和用户分配的标识类型不同于 Microsoft Entra 工作负载标识,后者旨在供 Pod 上运行的应用程序使用。
确保已安装 Azure CLI 版本 2.23.0 或更高版本。 运行 az --version
即可查找版本。 如果需要进行安装或升级,请参阅安装 Azure CLI。
若要使用预先创建的 kubelet 托管标识,需要安装 Azure CLI 2.26.0 或更高版本。
在运行本文中的示例之前,请先调用 az account set 命令并传入订阅 ID,将订阅设置为当前活动订阅。
az account set --subscription <subscription-id>
如果你没有 Azure 资源组,也可以通过调用 az group create
命令创建一个。
az group create \
--name myResourceGroup \
--location westus2
系统分配的托管标识是与 AKS 群集或其他 Azure 资源相关联的标识。 系统分配的托管标识与群集的生命周期相关联。 删除群集时,也会删除系统分配的托管标识。
AKS 群集可以使用系统分配的托管标识来授权访问 Azure 中运行的其他资源。 可以将 Azure RBAC 角色分配到系统分配的托管标识,以授予群集访问特定资源的权限。 例如,如果你的群集需要访问 Azure 密钥保管库中的机密,则可为系统分配的托管标识分配授予这些权限的 Azure RBAC 角色。
若要在新群集上启用系统分配的托管标识,请调用 az aks create
。 默认情况下,新群集上启用系统分配的托管标识。
使用 az aks create
命令创建 AKS 群集。
az aks create \
--resource-group myResourceGroup \
--name myManagedCluster \
--generate-ssh-keys
若要验证群集创建后是否启用了系统分配的托管标识,请参阅确定群集正在使用哪种类型的托管标识。
若要将使用服务主体的现有 AKS 群集更新为使用系统分配的托管标识,请运行带有 --enable-managed-identity
参数的 az aks update
命令。
az aks update \
--resource-group myResourceGroup \
--name myManagedCluster \
--enable-managed-identity
将群集更新为使用系统分配的托管标识而不是服务主体后,控制平面和 Pod 在访问 Azure 中的其他服务时将使用系统分配的托管标识进行授权。 Kubelet 会继续使用服务主体,直到你同时升级代理池。 可以在节点上使用 az aks nodepool upgrade --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-image-only
命令更新到托管标识。 节点池升级会导致 AKS 群集停机,因为节点池中的节点将被封锁、排空,然后重置映像。
备注
更新集群时请牢记以下信息:
仅当有要使用的 VHD 更新时,更新才有效。 如果你运行的是最新的 VHD,则需要等到下一个 VHD 可用才能执行更新。
Azure CLI 可以确保你的插件权限在迁移后正确设置。 如果不使用 Azure CLI 执行迁移操作,则需要自行处理插件身份的权限。 有关使用 Azure 资源管理器 (ARM) 模板的示例,请参阅使用 ARM 模板分配 Azure 角色。
如果群集使用 --attach-acr
从 Azure 容器注册表 (ACR) 的映像中进行拉取,则需要在更新群集后运行 az aks update --resource-group myResourceGroup --name myAKSCluster --attach-acr <ACR resource ID>
,以便让新建的用于托管标识的 kubelet 能够获得从 ACR 进行拉取的权限。 否则,升级后将无法从 ACR 进行拉取。
可以将 Azure RBAC 角色分配到系统分配的托管标识,以授予群集对另一个 Azure 资源的权限。 Azure RBAC 支持指定权限级别的内置和自定义角色定义。 有关分配 Azure RBAC 角色的详细信息,请参阅分配 Azure 角色的步骤。
将 Azure RBAC 角色分配到托管标识时,必须定义该角色的范围。 一般情况下,最佳做法是将角色的范围限制为托管标识所需的最低特权。 有关确定 Azure RBAC 角色范围的详细信息,请参阅了解 Azure RBAC 的范围。
如果你创建并使用自己的 VNet、附加的 Azure 磁盘、静态 IP 地址、路由表或用户分配的 kubelet 标识,并且其中的资源位于工作器节点资源组的外部,则 Azure CLI 将自动添加角色分配。 如果使用 ARM 模板或其他方法,请使用托管标识的主体 ID 来执行角色分配。
如果你没有使用 Azure CLI,而是使用自己的 VNet、附加的 Azure 磁盘、静态 IP 地址、路由表或用户分配的 kubelet 标识,并且它们位于工作器节点资源组的外部,则建议使用用户分配的控制平面托管标识。 当控制平面使用系统分配的托管标识时,该标识与群集同时创建,因此在创建群集之前无法执行角色分配。
若要将 Azure RBAC 角色分配到群集的系统分配托管标识,首先需要获取该托管标识的主体 ID。 通过调用 az aks show
命令获取群集的系统分配托管标识的主体 ID。
# Get the principal ID for a system-assigned managed identity.
CLIENT_ID=$(az aks show \
--name myAKSCluster \
--resource-group myResourceGroup \
--query identity.principalId \
--output tsv)
若要向系统分配的托管标识授予对 Azure 中资源的权限,请调用 az role assignment create
命令以将 Azure RBAC 角色分配到托管标识。
对于默认工作器节点资源组外部的 VNet、附加的 Azure 磁盘、静态 IP 地址或路由表,需要对自定义资源组分配 Network Contributor
角色。
例如,使用 az role assignment create
命令在自定义资源组上分配 Network Contributor
角色。 对于 --scope
参数,请提供群集资源组的资源 ID。
az role assignment create \
--assignee $CLIENT_ID \
--role "Network Contributor" \
--scope "<resource-group-id>"
备注
向群集托管标识授予的权限最长可能需要 60 分钟才能填充。
用户分配的托管标识是独立的 Azure 资源。 为控制平面创建具有用户分配的托管标识的群集时,用户分配的托管标识资源必须在群集创建之前存在。 此功能可实现多种方案,例如使用自定义 VNet 或出站类型的用户定义的路由 (UDR) 创建群集。
如果你没有用户分配的托管标识资源,请使用 az identity create
命令创建一个。
az identity create \
--name myIdentity \
--resource-group myResourceGroup
输出应与下面的示例输出类似:
{
"clientId": "<client-id>",
"clientSecretUrl": "<clientSecretUrl>",
"id": "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity",
"location": "westus2",
"name": "myIdentity",
"principalId": "<principal-id>",
"resourceGroup": "myResourceGroup",
"tags": {},
"tenantId": "<tenant-id>",
"type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}
若要获取用户分配的托管标识的主体 ID,请调用 az Identity Show 并查询 principalId
属性:
CLIENT_ID=$(az identity show \
--name myIdentity \
--resource-group myResourceGroup \
--query principalId \
--output tsv)
若要创建具有用户分配的托管标识的群集,需要获取新托管标识的资源 ID。 若要获取用户分配的托管标识的资源 ID,请调用 az aks show 并查询 id
属性:
RESOURCE_ID=$(az identity show \
--name myIdentity \
--resource-group myResourceGroup \
--query id \
--output tsv)
在创建群集之前,通过调用 az role assignment create
命令为托管标识添加角色分配。
以下示例将“密钥保管库机密用户”角色分配给用户分配的托管标识,以授予其访问密钥保管库中的机密的权限。 角色分配的范围限定为密钥保管库资源:
az role assignment create \
--assignee $CLIENT_ID \
--role "Key Vault Secrets User" \
--scope "<keyvault-resource-id>"
备注
向群集托管标识授予的权限最长可能需要 60 分钟才能填充。
若要使用用户分配的托管标识创建 AKS 群集,请调用 az aks create
命令。 包含 --assign-identity
参数并传入用户分配的托管标识的资源 ID:
az aks create \
--resource-group myResourceGroup \
--name myManagedCluster \
--network-plugin azure \
--vnet-subnet-id <subnet-id> \
--dns-service-ip 10.2.0.10 \
--service-cidr 10.2.0.0/24 \
--assign-identity $RESOURCE_ID \
--generate-ssh-keys
备注
Azure 美国政府云中的 USDOD Central、USDOD East 和 USGov Iowa 区域不支持创建具有用户分配的托管标识的群集。
若要更新现有群集以使用用户分配的托管标识,请调用 az aks update
命令。 包含 --assign-identity
参数并传入用户分配的托管标识的资源 ID:
az aks update \
--resource-group myResourceGroup \
--name myManagedCluster \
--enable-managed-identity \
--assign-identity $RESOURCE_ID
成功更新群集以使用用户分配的托管标识后,输出应如以下示例所示:
"identity": {
"principalId": null,
"tenantId": null,
"type": "UserAssigned",
"userAssignedIdentities": {
"/subscriptions/<subscriptionid>/resourcegroups/resourcegroups/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
"clientId": "<client-id>",
"principalId": "<principal-id>"
}
}
},
备注
将控制平面的托管标识从“系统分配”迁移到“用户分配”不会导致控制平面和代理池停机。 控制平面组件将继续使用旧的系统分配的标识长达几个小时,直到下一次令牌刷新。
若要确定现有 AKS 群集正在使用哪种类型的托管标识,请调用 az aks show 命令并查询标识的 type 属性。
az aks show \
--name myAKSCluster \
--resource-group myResourceGroup \
--query identity.type \
--output tsv
如果群集使用托管标识,则 type 属性的值将为 SystemAssigned 或 UserAssigned。
如果群集正在使用服务主体,则 type 属性的值为 null。 请考虑升级群集以使用托管标识。
预先创建的 kubelet 标识是在群集创建之前存在的用户分配的管理标识。 此功能支持在创建群集期间连接到 Azure 容器注册表 (ACR) 等方案。
备注
如果你未指定自己的 kubelet 托管标识,AKS 将在节点资源组中创建用户分配的 kubelet 标识。
对于默认工作器节点资源组外部的用户分配的 kubelet 标识,需要在 kubelet 标识上为控制平面托管标识分配托管标识操作员角色。
如果你没有 kubelet 托管标识,请使用 az identity create
命令创建一个。
az identity create \
--name myKubeletIdentity \
--resource-group myResourceGroup
输出应与下面的示例输出类似:
{
"clientId": "<client-id>",
"clientSecretUrl": "<clientSecretUrl>",
"id": "/subscriptions/<subscriptionid>/resourcegroups/myResourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myKubeletIdentity",
"location": "westus2",
"name": "myKubeletIdentity",
"principalId": "<principal-id>",
"resourceGroup": "myResourceGroup",
"tags": {},
"tenantId": "<tenant-id>",
"type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}
使用 az role assignment create
命令在 kubelet 标识上分配 ACRPull
角色。 为 $KUBELET_CLIENT_ID 变量提供 kubelet 标识的主体 ID,为 $ACR_REGISTRY_ID 变量提供 ACR 注册表 ID。
az role assignment create \
--assignee $KUBELET_CLIENT_ID \
--role "acrpull" \
--scope "$ACR_REGISTRY_ID"
现在,可以使用现有标识来创建 AKS 群集。 请确保通过包括 assign-identity
参数和 kubelet 托管标识(使用 assign-kubelet-identity
参数)为控制平面提供托管标识的资源 ID。
使用 az aks create
命令创建具有现有标识的 AKS 群集。
az aks create \
--resource-group myResourceGroup \
--name myManagedCluster \
--network-plugin azure \
--vnet-subnet-id <subnet-id> \
--dns-service-ip 10.2.0.10 \
--service-cidr 10.2.0.0/24 \
--assign-identity <identity-resource-id> \
--assign-kubelet-identity <kubelet-identity-resource-id> \
--generate-ssh-keys
使用 kubelet 托管标识成功创建 AKS 群集后,应生成如下所示的输出:
"identity": {
"principalId": null,
"tenantId": null,
"type": "UserAssigned",
"userAssignedIdentities": {
"/subscriptions/<subscriptionid>/resourcegroups/resourcegroups/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
"clientId": "<client-id>",
"principalId": "<principal-id>"
}
}
},
"identityProfile": {
"kubeletidentity": {
"clientId": "<client-id>",
"objectId": "<object-id>",
"resourceId": "/subscriptions/<subscriptionid>/resourcegroups/resourcegroups/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myKubeletIdentity"
}
},
若要更新现有群集以使用 kubelet 托管标识,请首先获取 AKS 群集的当前控制平面托管标识。
警告
更新 kubelet 托管标识会升级 AKS 群集的节点池,这会导致群集停机,因为节点池中的节点被封锁/排空并重置映像。
使用 az aks show
命令确认 AKS 群集是否在使用用户分配的托管标识。
az aks show \
--resource-group <RGName> \
--name <ClusterName> \
--query "servicePrincipalProfile"
如果群集使用托管标识,则输出会显示 clientId
,其值为 msi。 使用服务主体的群集会显示一个对象 ID。 例如:
# The cluster is using a managed identity.
{
"clientId": "msi"
}
确认群集正在使用托管标识后,可使用 az aks show
命令查找托管标识的资源 ID。
az aks show --resource-group <RGName> \
--name <ClusterName> \
--query "identity"
对于用户分配的托管标识,输出应类似于以下示例输出:
{
"principalId": null,
"tenantId": null,
"type": "UserAssigned",
"userAssignedIdentities": <identity-resource-id>
"clientId": "<client-id>",
"principalId": "<principal-id>"
},
使用 az aks update
命令更新具有现有标识的群集。 为 assign-identity
参数提供控制平面的用户分配托管标识的资源 ID。 为 assign-kubelet-identity
参数提供 kubelet 托管标识的资源 ID。
az aks update \
--resource-group myResourceGroup \
--name myManagedCluster \
--enable-managed-identity \
--assign-identity <identity-resource-id> \
--assign-kubelet-identity <kubelet-identity-resource-id>
使用你自己的 kubelet 托管标识成功更新 AKS 群集后,应会显示类似于以下示例输出的信息:
"identity": {
"principalId": null,
"tenantId": null,
"type": "UserAssigned",
"userAssignedIdentities": {
"/subscriptions/<subscriptionid>/resourcegroups/resourcegroups/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myIdentity": {
"clientId": "<client-id>",
"principalId": "<principal-id>"
}
}
},
"identityProfile": {
"kubeletidentity": {
"clientId": "<client-id>",
"objectId": "<object-id>",
"resourceId": "/subscriptions/<subscriptionid>/resourcegroups/resourcegroups/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myKubeletIdentity"
}
},
备注
如果群集使用 --attach-acr
从 Azure 容器注册表的映像中进行拉取,请在更新群集后运行 az aks update --resource-group myResourceGroup --name myAKSCluster --attach-acr <ACR Resource ID>
,以便让新建的用于托管标识的 kubelet 能够获得从 ACR 进行拉取的权限。 否则,升级后将无法从 ACR 进行拉取。
若要获取 kubelet 标识的属性,请调用 az aks show 并查询 identityProfile.kubeletidentity
属性。
az aks show \
--name myAKSCluster \
--resource-group myResourceGroup \
--query "identityProfile.kubeletidentity"
请注意有关预先创建的 kubelet 标识的以下限制:
AKS 对内置服务和加载项使用多个托管标识。
标识 | 名称 | 使用案例 | 默认权限 | 自带标识 |
---|---|---|---|---|
控制面板 | AKS 群集名称 | 由 AKS 控制平面组件用于管理群集资源,包括入口负载均衡器和 AKS 管理的公共 IP、群集自动缩放程序、Azure 磁盘、文件、Blob CSI 驱动程序。 | 节点资源组的参与者角色 | 支持 |
Kubelet | AKS Cluster Name-agentpool | 使用 Azure 容器注册表 (ACR) 进行身份验证。 | 不适用(适用于 kubernetes v1.15+) | 支持 |
加载项 | AzureNPM | 无需标识。 | 不适用 | 否 |
加载项 | AzureCNI 网络监视 | 无需标识。 | 不适用 | 否 |
加载项 | azure-policy (gatekeeper) | 无需标识。 | 不适用 | 否 |
加载项 | azure-policy | 无需标识。 | 不适用 | 否 |
加载项 | Calico | 无需标识。 | 不适用 | 否 |
加载项 | 应用程序路由 | 管理 Azure DNS 和 Azure Key Vault 证书 | 适用于 Key Vault 的 Key Vault 机密用户角色、适用于 DNS 区域的 DNZ 区域参与者角色、适用于专用 DNS 区域的专用 DNS 区域参与者角色 | 否 |
加载项 | HTTPApplicationRouting | 管理所需的网络资源。 | 节点资源组的读取者角色,DNS 区域的参与者角色 | 否 |
加载项 | 入口应用程序网关 | 管理所需的网络资源。 | 节点资源组的参与者角色 | 否 |
加载项 | omsagent | 用于将 AKS 指标发送到 Azure Monitor。 | “监视指标发布者”角色 | 否 |
加载项 | Virtual-Node (ACIConnector) | 管理 Azure 容器实例 (ACI) 所需的网络资源。 | 节点资源组的参与者角色 | 否 |
加载项 | 成本分析 | 用于收集成本分配数据 | ||
工作负载标识 | Microsoft Entra 工作负载 ID | 使应用程序能够使用 Microsoft Entra 工作负载 ID 安全地访问云资源。 | 空值 | 否 |
重要
Azure Kubernetes 服务中的开源 Microsoft Entra Pod 托管标识(预览版)已于 2022 年 10 月 24 日弃用,该项目已于 2023 年 9 月存档。 有关详细信息,请查看弃用通知。 AKS 托管加载项将于 2024 年 9 月开始弃用。
建议查看 Microsoft Entra 工作负载 ID。 Entra 工作负载 ID 身份验证取代了已弃用的 Pod 托管标识(预览版)功能。 Entra 工作负载 ID 是使 Pod 上运行的应用程序能够针对支持它的其他 Azure 服务进行身份验证的建议方法。
不支持将启用托管标识的群集移动或迁移到其他租户。
如果群集启用了 Microsoft Entra pod 托管标识 (aad-pod-identity
),节点托管标识 (NMI) pod 将修改节点的 iptable,以拦截对 Azure 实例元数据终结点 (IMDS) 的调用。 此配置意味着对 IMDS 终结点发出的任何请求都将被 NMI 拦截,即使特定 Pod 不使用 aad-pod-identity
。
可以配置 AzurePodIdentityException 自定义资源定义 (CRD),以指定应该中转来自与 CRD 中定义的标签匹配的 Pod 对 IMDS 终结点的请求,而不在 NMI 中进行任何处理。 通过配置 AzurePodIdentityException CRD,排除 aad-pod-identity
中 kube-system 命名空间中带有 kubernetes.azure.com/managedby: aks
标签的系统 Pod。 有关详细信息,请参阅在 Azure Kubernetes 服务中使用 Microsoft Entra Pod 托管标识。
若要配置例外情况,请安装 mic-exception YAML。
如果使用的是自定义专用 DNS 区域,则 AKS 不支持使用系统分配的托管标识。
培训
认证
Microsoft Certified: Identity and Access Administrator Associate - Certifications
演示 Microsoft Entra ID 的功能,以将标识解决方案现代化、实现混合解决方案和实现标识治理。